Java SSL 套接字 Web 服务器错误证书

Question

我正在尝试为我自己的个人项目之一构建一个 HTTPS Web 服务器，以帮助学习 Java 和网络，并且已经停滞了大约 9 个小时，所以我寻求帮助。

问题是我的 https 服务器将崩溃并出现错误“javax.net.ssl.SSLHandshakeException:收到致命警报:bad_certificate”，每当我实际尝试从输入流中读取时。我尝试在互联网上搜索了几个小时，尝试了不同的方法来生成 key 并尝试了所有方法，但不断收到其他错误消息。

如果重要的话，我正在做的是在我的计算机上运行我的 Java 应用程序，它绑定(bind)到端口 443，然后我打开 FireFox 连接到它，然后在它尝试从接受的套接字输入流中读取时进行调试(代码中注明的位置)，它因上述 fatal error 而崩溃。如果一切正常，我应该有机会在 firefox 中选择忽略与 SSL 证书一起显示的 SSL 警告并继续访问该页面，但我不能这样做，因为 fatal error 导致我的 java ssl 关闭网络服务器。

我如何生成证书:

#GENERATE KEYS
keytool -genkeypair -alias plainserverkeys -keyalg RSA -dname "CN=Plain Server,OU=kl2217,O=kl2217org,L=Boston,ST=MA,C=US" -keypass password -keystore plainserver.jks -storepass password
keytool -genkeypair -alias plainclientkeys -keyalg RSA -dname "CN=Plain Client,OU=kl2217,O=kl2217org,L=Boston,ST=MA,C=US" -keypass password -keystore plainclient.jks -storepass password

#EXPORT SERVER CERT + IMPORT NEW KEYSTORE
keytool -exportcert -alias plainserverkeys -file serverpub.cer -keystore plainserver.jks -storepass password
keytool -importcert -keystore serverpub.jks -alias serverpub -file serverpub.cer -storepass password

#EXPORT CLIENT CERT + IMPORT NEW KEYSTORE
keytool -exportcert -alias plainclientkeys -file clientpub.cer -keystore plainclient.jks -storepass password
keytool -importcert -keystore clientpub.jks -alias clientpub -file clientpub.cer -storepass password

#EXPORT PLAIN CLIENT CERT + IMPORT TO MAIN JAVA KEYSTORE
keytool -export -alias plainclientkeys -keystore plainclient.jks -rfc -file plainclient.cert
keytool -import -trustcacerts -keystore /usr/java/jdk1.7.0_25/jre/lib/security/cacerts -storepass changeit -noprompt -alias mycert -file plainclient.cert

源代码:

import java.io.BufferedReader;
import java.io.FileInputStream;
import java.io.IOException;
import java.io.InputStreamReader;
import java.net.ServerSocket;
import java.net.Socket;
import java.security.KeyManagementException;
import java.security.KeyStore;
import java.security.KeyStoreException;
import java.security.NoSuchAlgorithmException;
import java.security.UnrecoverableKeyException;
import java.security.cert.CertificateException;
import javax.net.ssl.KeyManagerFactory;
import javax.net.ssl.SSLContext;
import javax.net.ssl.SSLServerSocket;
import javax.net.ssl.SSLServerSocketFactory;
import javax.net.ssl.TrustManagerFactory;

public class Main
{
    public static void main(String[] args)
    {
        SSLContext context;
        KeyManagerFactory kmf;
        KeyStore ks;
        char[] storepass = "password".toCharArray();
        char[] keypass = "password".toCharArray();
        String storename = "plainserver.jks";
        try
        {
            //KEY MANAGER
            context = SSLContext.getInstance("TLS");
            kmf = KeyManagerFactory.getInstance("SunX509");
            FileInputStream fin = new FileInputStream(storename);
            ks = KeyStore.getInstance("JKS");
            ks.load(fin, storepass);
            kmf.init(ks, keypass);

            //TRUST MANAGER
            KeyStore clientPub = KeyStore.getInstance("JKS");
            clientPub.load(new FileInputStream("clientpub.jks"),"password".toCharArray());
            TrustManagerFactory trustManager = TrustManagerFactory.getInstance("SunX509");
            trustManager.init(clientPub);

            //INIT SERVER STUFF
            context.init(kmf.getKeyManagers(), trustManager.getTrustManagers(), null);
            SSLServerSocketFactory ssf = context.getServerSocketFactory();
            //ServerSocket ss = ssf.createServerSocket(443);
            SSLServerSocket ss = (SSLServerSocket) ssf.createServerSocket(443);

            while (true)
            {
                System.out.println("ACCEPT");
                Socket s = ss.accept();
                System.out.println("PROCESS! (1)");
                BufferedReader in = new BufferedReader(new InputStreamReader(s.getInputStream()));
                System.out.println("PROCESS! (2)");
                String x = in.readLine();       //!!!!!PROGRAM WILL CRASH HERE!!!!
                System.out.println("PROCESS! (3)");
                System.out.println(x);
                s.close();
            }
        }
        catch (KeyStoreException | IOException | NoSuchAlgorithmException | KeyManagementException | 
                UnrecoverableKeyException | CertificateException e)
        {
            e.printStackTrace();
        }
    }
}

我已经坚持了很长时间，想弄清楚出了什么问题以及为什么。我到处搜索，尝试了大约 15 个关于生成证书、 key 的不同教程，甚至使用其他代码来替换我自己的代码，看看这是否是我出现问题的原因。我仍在学习 Java，我将不胜感激任何帮助(代码或其他)，所有专家都可以提供。

Answer 1

一个。 '崩溃'

异常不是崩溃，它不应该使您的应用程序崩溃。那只是糟糕的代码结构和糟糕的异常处理。您需要为每个接受的套接字启动一个线程，并在其运行方法中使用自己的异常处理。

B.证书步骤。

#GENERATE KEYS
keytool -genkeypair -alias plainserverkeys -keyalg RSA -dname "CN=Plain Server,OU=kl2217,O=kl2217org,L=Boston,ST=MA,C=US" -keypass password -keystore plainserver.jks -storepass password
keytool -genkeypair -alias plainclientkeys -keyalg RSA -dname "CN=Plain Client,OU=kl2217,O=kl2217org,L=Boston,ST=MA,C=US" -keypass password -keystore plainclient.jks -storepass password

到目前为止一切顺利。您在这里创建或更新了两个 keystore :一个用于服务器，一个用于客户端。

#EXPORT SERVER CERT + IMPORT NEW KEYSTORE
keytool -exportcert -alias plainserverkeys -file serverpub.cer -keystore plainserver.jks -storepass password
keytool -importcert -keystore serverpub.jks -alias serverpub -file serverpub.cer -storepass password

在这里，您已经为客户端创建或更新了一个信任库。

#EXPORT CLIENT CERT + IMPORT NEW KEYSTORE
keytool -exportcert -alias plainclientkeys -file clientpub.cer -keystore plainclient.jks -storepass password
keytool -importcert -keystore clientpub.jks -alias clientpub -file clientpub.cer -storepass password

在这里您已经为服务器创建或更新了一个信任库。

因此，您的意图显然是采用相互验证的 SSL。

#EXPORT PLAIN CLIENT CERT + IMPORT TO MAIN JAVA KEYSTORE
keytool -export -alias plainclientkeys -keystore plainclient.jks -rfc -file plainclient.cert
keytool -import -trustcacerts -keystore /usr/java/jdk1.7.0_25/jre/lib/security/cacerts -storepass changeit -noprompt -alias mycert -file plainclient.cert

我不明白你为什么要做这一步。第一个命令只是创建您已有的文件“clientpub.cer”的另一个副本。第二部分将它放入 JDK truststore，原因我不明白。您不需要这两个步骤和前两个步骤，只需前两个步骤或这两个步骤即可。

但我不明白你为什么要做这四个中的任何一个。您根本不需要客户端证书、客户端 keystore 和服务器信任库，除非:

1. 您已经在服务器上启用了 wantClientAuth 或 needClientAuth，并且
2. 您已经在 Firefox 浏览器中安装了客户端证书。